Kaip veikia VPN ir tarpinio serverio aptikimas ir kur jis žlunga
IP sąrašai, reputacijos API ir pirštų atspaudai žlunga skirtingai. Nuspręskite, kokį piktnaudžiavimą stabdote, išmatuokite klaidingus teigiamus ir tada įgyvendinkite su priežasties kodu.
Kai kas nors klausia, kaip blokuoti VPN naudotojus, sakinyje slypi trys skirtingi prašymai: sustabdyti sukčiavimą, sustabdyti scrapinimą arba įtvirtinti licencijos ribą. Kiekvienas toleruoja skirtingą klaidų lygį, ir nė vieno neatsako žinojimas, ar adresas priklauso tuneliui. Tai, ką grąžina klasifikatorius, yra tikimybė apie infrastruktūrą, o ne teiginys apie ją naudojantį asmenį.
Ką iš tikrųjų apskaičiuoja IP klasifikatorius
Dauguma paslaugų derina keturis duomenų šaltinius, ir jie sensta skirtingu tempu. Tor išėjimo sąrašai gaunami iš katalogo konsensuso ir yra beveik išsamūs, kol jis galioja. Atvirų tarpinių serverių sąrašai yra daliniai ir pasensta per kelias dienas. Komerciniai išėjimo sąrašai pagal dizainą atsilieka nuo naujų tiekėjų, nes adresai sukasi greičiau, nei bet kuris pardavėjas gali juos peržiūrėti. Hostingo diapazonų euristika yra pigiausias ir šiurkščiausias signalas.
Būtent pastarasis yra vieta, kur gimsta dauguma klaidingų teigiamų. Įmonių išėjimai, debesyje talpinamos naršyklės, miestelio NAT ir mobiliųjų operatorių tarpai visi atrodo kaip hostingas ar bendra infrastruktūra, ir kiekviename jų gali būti įprastų klientų.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 pašalina visą likusį komfortą. Klientas gali turėti skirtingą adresą kiekvienam ryšiui, o tiekėjas gali sukioti prefiksą tarp užklausų, todėl taisyklė, kuri adresą traktuoja kaip ilgalaikę tapatybę, per kelias savaites nutols nuo realybės.
Kodėl protokolų pirštų atspaudai irti
MSS ir laiko skirtumai gali identifikuoti kai kurias OpenVPN konfigūracijas, ir technika tikrai trapi. Signalas priklauso nuo naudotojo valdomų parinkčių, nuo kelio MTU ir nuo tarpinių įrenginių, kurie ne jūsų. Pakeiskite vieną šifrą ar vieną MSS ribą ir pirštų atspaudas pasislenka. Tiekėjas, išleidžiantis naują numatytąją reikšmę, tą patį padaro jūsų taisyklei per naktį.
Atvirkštinės zondės turi blogesnę problemą nei trapumas: jos priešiškos. Lankytojo prievadų skenavimas yra lėtas, lengvai blokuojamas tos pačios įmonės užkardos, už kurios sėdi jūsų klientai, ir sunkiai apginamas privatumo peržiūroje. Vėlavimo slenksčiai tolimus naudotojus pagauna taip pat patikimai kaip tunelio naudotojus, o tai reiškia, kad jūsų taisyklė iš tikrųjų yra „blokuok toli esančius žmones“ su kita etikete.
Kad ir ką pasirinktumėte, turite sugebėti tai paaiškinti palaikymo agentui 2 valandą nakties. Signalas, kurio niekas negali apibūdinti, tampa blokavimu, kurio niekas negali atšaukti. Parašykite paaiškinimą prieš rašydami taisyklę, o ne po pirmo skundo.
Tapatybė ir elgesys nugali anonimiškumo spėliones
Greičio limitai, prisijungimo reikalavimai, mokėjimų patikros ir kvotos vienai paskyrai sprendžia piktnaudžiavimą nebaudžiant skaitytojų, kuriems rūpi privatumas. Jie taip pat veikia toliau, kai adresas pasikeičia, nes prisiriša prie to, ko klientas negali pasukti nemokamai.
Jei geografinis apribojimas yra licencijos reikalavimas, įgyvendinkite jį kaip dokumentuotą politiką su aiškiu klaidos pranešimu ir periodine peržiūra. Tai kitokia kontrolė nei anonimiškumo spėliojimas, ir klientui skirtame tekste ji turėtų būti aprašyta kitaip. VPN protokolo naudojamų prievadų blokavimas gali sumažinti automatinį piktnaudžiavimą, bet taip pat sulaužo teisėtą nuotolinę prieigą, ir bet kas ryžtingas ją lengvai apeina.
Pirmiausia paleiskite tai kaip matavimą
Paleiskite klasifikatorių kelioms savaitėms tik-ataskaitos režimu. Palyginkite populiaciją, kurią jis būtų blokavęs, su registracijomis, konversijomis ir palaikymo bilietais, tada nustatykite klaidingų teigiamų biudžetą prieš nustatydami slenkstį.
Išbandykite iš naujo mažame žinomame rinkinyje: namų ryšys, mobilusis operatorius, įmonės išėjimas ir komercinis VPN. Keturios bylos atskleidžia daugumą klaidų, kurios kitaip pasiektų klientus, ir kainuoja popietę.
Laikykite neapdorotą signalą ir įgyvendinimo sprendimą atskirai. Registruokite balą net kai slenkstis aukštas, nukreipkite dviprasmišką vidurį į žmonių eilę ir pažymėkite kiekvieną blokavimą priežasties kodu, kad kita politikos peržiūra galėtų pasakyti, kuris signalas užsitarnavo savo vietą.
Apeliacijos kelias yra kontrolės dalis
Kiekvienam automatiniam blokavimui reikia žmogiško kelio: kontaktinio adreso, nurodyto atsakymo laiko ir įvardyto peržiūros savininko. Be jo klaidingas teigiamas yra tyliai prarastas klientas ir palaikymo bilietas, su kuriuo niekas negali nieko padaryti.
Pasakykite tiesiai, kad prieiga gali būti apribota, kodėl ir kaip paprašyti peržiūros. Versijuokite politiką, kad palaikymas galėtų pasakyti, kuri taisyklė galiojo tam tikrą dieną. Blokavimas, kurio negalite paaiškinti, atšaukti ar išmatuoti, nėra kontrolė; tai spėjimas su žurnalo eilute.